7.2. HSM に保存された鍵と証明書を使用する統合 CA を備えた IdM サーバーのインストール

手順

1. PKCS #11 ライブラリーの場所、トークン名、トークンパスワードを指定して、インストールコマンドを実行します。

   ipa-server-install -a <password> -p <dmpassword>-r <IDM.EXAMPLE.COM> -U --setup-dns --allow-zone-overlap --no-forwarders -N --auto-reverse --random-serial-numbers -–token-name=<HSM-TOKEN> --token-library-path=/opt/nfast/toolkits/pkcs11/libcknfast.so

2. プロンプトが表示されたらトークンのパスワードを指定します。

検証

1. certutil を実行して CA 証明書情報を表示します。

   certutil -L -d /etc/pki/pki-tomcat/alias
   
   Certificate Nickname                    Trust Attributes
                                           SSL,S/MIME,JAR/XPI
   
   caSigningCert cert-pki-ca               CT,C,C
   ocspSigningCert cert-pki-ca             ,,
   Server-Cert cert-pki-ca                 u,u,u
   subsystemCert cert-pki-ca               ,,
   auditSigningCert cert-pki-ca            ,,P

   証明書の信頼属性の下に u がリストされていない場合は、秘密鍵がトークンに保存されていることを示します。この場合、パフォーマンス上の理由から HSM にインストールされていないため、Server-Cert cert-pki-ca のみに u フラグが設定されます。

2. 鍵と証明書が HSM に保存されていることを確認します。

   certutil -L -d /etc/pki/pki-tomcat/alias -h <HSM-TOKEN>
   
   Certificate Nickname                                Trust Attributes
   	   SSL,S/MIME,JAR/XPI
   
   Enter Password or Pin for "<HSM-TOKEN>":
   <HSM-TOKEN>:subsystemCert cert-pki-ca                  	u,u,u
   <HSM-TOKEN>:ocspSigningCert cert-pki-ca                	u,u,u
   <HSM-TOKEN>:caSigningCert cert-pki-ca                  	CTu,Cu,Cu
   <HSM-TOKEN>:auditSigningCert cert-pki-ca               	u,u,Pu

   証明書名の先頭には HSM トークン名がついています。これは、秘密鍵と証明書がトークンに保存されていることを示します。

   鍵の保存場所は、ユーザーが証明書を取得または使用する方法には影響しません。